python-ldap配置OPT_X_TLS_CACERTDIR不生效无法完成LDAP认证

失败原因 #

python-ldap底层依赖OpenSSL实现TLS证书校验，OPT_X_TLS_CACERTDIR对应的CA目录加载逻辑，和直接指定单个证书文件的逻辑存在本质差异：OpenSSL不会自动扫描目录下任意命名的.pem格式证书，要求目录内的证书必须按照证书主题的哈希值生成对应命名的索引条目。直接把原始命名的mycer.pem丢进目录、不生成索引的操作，会导致OpenSSL完全识别不到目录内的证书，TLS握手时无法完成服务器证书校验，最终触发连接失败，抛出提示Can't contact LDAP server的SERVER_DOWN错误。

正确操作步骤 #

1. 把所有需要纳入信任链的CA证书以PEM格式存放到目标目录，示例中使用的路径为/etc/certs
2. 对证书目录执行OpenSSL哈希索引生成操作，运行命令：
   c_rehash /etc/certs
   该命令会自动遍历目录下所有PEM格式证书，为每个证书生成以证书主题哈希值为前缀的软链接，完全匹配OpenSSL的目录查找规则。
3. 修正python-ldap的路径配置：指定目录时不要带末尾斜杠，将原配置中的"/etc/certs/"替换为"/etc/certs"，避免部分场景下的路径解析兼容问题。

修正后的核心配置片段：

import ldap
ldap.set_option(ldap.OPT_X_TLS_REQUIRE_CERT, ldap.OPT_X_TLS_DEMAND)
ls = ldap.initialize('ldaps://<ip>:10636')
ls.set_option(ldap.OPT_REFERRALS, 0)
ls.set_option(ldap.OPT_PROTOCOL_VERSION, 3)
# 替换原CACERTFILE的配置
ls.set_option(ldap.OPT_X_TLS_CACERTDIR, "/etc/certs")
ls.set_option(ldap.OPT_X_TLS_NEWCTX, 0)
ls.simple_bind_s('uid=admin,ou=system', 'secret')

注意事项 #

• 确保运行python进程的用户对证书目录、目录内的哈希索引文件有读取权限，权限不足会导致证书加载失败
• 不要在同一个LDAP连接实例中同时配置OPT_X_TLS_CACERTFILE和OPT_X_TLS_CACERTDIR，两个配置同时生效时存在优先级覆盖逻辑，容易触发非预期的证书校验行为
• 如果系统未预装c_rehash命令，可以直接运行OpenSSL内置的等价命令：openssl rehash /etc/certs，实现完全相同的索引生成效果

内容的提问来源于stack exchange，提问作者Saurabh Batra